टीएल;डीआर: चेनस्टैक की विस्तारित घटना रिपोर्ट एक्सेस-कंट्रोल विफलताओं पर केंद्रित है। इसका पुनर्प्राप्ति मार्गदर्शन पूर्ण क्रेडेंशियल रोटेशन को प्राथमिकता देता है।

चेनस्टैक ने 3 नवंबर को पहली बार प्रकट की गई सुरक्षा घटना में तकनीकी विवरण जोड़ा है अद्यतन रिपोर्ट10 नवंबर के एक तकनीकी खंड के साथ, कॉन्फ़िगरेशन और एक्सेस-कंट्रोल विफलताओं के आसपास निर्मित अक्टूबर घुसपैठ का वर्णन किया गया है। कंपनी का कहना है कि उसे इस बात का कोई सबूत नहीं मिला कि सॉफ़्टवेयर भेद्यता का फायदा उठाया गया था।

अभिगम नियंत्रण कैसे विफल हो गया

चेनस्टैक के अनुसार, हमलावर ने अपरिवर्तित डिफ़ॉल्ट प्रशासक क्रेडेंशियल्स के साथ एक विकास ग्राफाना उदाहरण के माध्यम से प्रवेश किया। व्यापक कुबेरनेट्स अनुमतियों वाला एक अप्रमाणित टूल सर्वर फिर एक्सेस पथ का हिस्सा बन गया। मशीन क्रेडेंशियल्स विकास और उत्पादन वातावरण से भी जुड़े हुए हैं।

परिचालनात्मक पाठ प्रथम लॉगिन के बाद किसी खाते की पहुंच के बारे में है। एक लो-प्रोफ़ाइल परीक्षण सेवा परिणामी बन सकती है यदि वह संवेदनशील प्रणालियों से संपर्क कर सकती है या उसके पास ऐसे विशेषाधिकार हैं जो उसके तत्काल कार्य से परे हैं।

NewsBTC का कवरेज निकट एआई बुनियादी ढांचे की घटना किसी एप्लिकेशन और उसका समर्थन करने वाली सेवाओं के बीच संबंधित सीमा का पता लगाया। तंत्र अलग-अलग हैं, लेकिन दोनों आसपास के बुनियादी ढांचे को क्रिप्टो प्लेटफ़ॉर्म की सुरक्षा के लिए प्रासंगिक बनाते हैं।

ग्राहकों को क्या संबोधित करने के लिए कहा जा रहा है

रिपोर्ट संभावित रूप से उजागर किए गए खाते के नाम, संगठन विवरण, ईमेल पते और पासवर्ड हैश की पहचान करती है। यह नोड क्रेडेंशियल्स को पढ़ा गया कोई सबूत नहीं मिलने के बावजूद उजागर मानता है, और ग्राहकों से पासवर्ड बदलने, नोड क्रेडेंशियल्स को घुमाने और जहां उपयोग किया जाता है वहां प्लेटफ़ॉर्म एपीआई कुंजियों को पुन: उत्पन्न करने के लिए कहता है।

एक पासवर्ड हैश और एक कार्यशील एक्सेस टोकन अलग-अलग समस्याएं पैदा करते हैं। हैश पासवर्ड का प्रतिनिधित्व करते हैं, जबकि एक सक्रिय टोकन सीधे अनुरोधों को अधिकृत कर सकता है। इसलिए लॉगिन पासवर्ड बदलने से यह नहीं माना जा सकता कि यह किसी एप्लिकेशन से जुड़े अन्य सभी क्रेडेंशियल को अमान्य कर देगा।

यही कारण है कि घटना मार्गदर्शन को प्रभावित क्रेडेंशियल प्रकारों की स्पष्ट रूप से पहचान करने की आवश्यकता है। पासवर्ड बदलने का एक भी निर्देश डेवलपर्स को एप्लिकेशन एंडपॉइंट, स्वचालित नौकरियों और सेवा एकीकरण के बारे में अनिश्चित बना सकता है।

क्रेडेंशियल रोटेशन का एक समापन चरण होता है

चेनस्टैक का नोड-प्रबंधन दस्तावेज़ीकरण एक चरणबद्ध रोटेशन प्रक्रिया का वर्णन करता है। नए क्रेडेंशियल उत्पन्न होते हैं जबकि मौजूदा क्रेडेंशियल सक्रिय रहते हैं। पुराने क्रेडेंशियल निष्क्रिय होने से पहले एप्लिकेशन प्रतिस्थापन के लिए आगे बढ़ सकते हैं।

दस्तावेज़ कहता है कि दोनों सेट उस अंतिम चरण तक काम करना जारी रखते हैं, बिना किसी स्वचालित समय सीमा के। रोटेशन पूरा करने से पिछले क्रेडेंशियल्स का उपयोग करने वाले अनुरोध स्थायी रूप से अस्वीकार हो जाते हैं। इसमें यह भी कहा गया है कि नोड रोटेशन मल्टीचेन प्रमाणीकरण टोकन को नहीं बदलता है।

एक ऑपरेटर के लिए, ओवरलैप एप्लिकेशन को अपडेट करते समय कार्यशील सेवा में बाधा डालने के जोखिम को कम कर देता है। संबंधित जिम्मेदारी पलायन को खत्म करने की है. अकेले प्रतिस्थापन उत्पन्न करने से पहुंच के पिछले साधन उपलब्ध रह जाते हैं।

इसलिए एक उपयोगी समापन रिकॉर्ड यह ट्रैक करेगा कि कौन से एप्लिकेशन स्थानांतरित हुए हैं और कब पुराने क्रेडेंशियल अक्षम किए गए थे। यह एक व्यावहारिक नियंत्रण है जिसे एक टीम प्रारंभिक आपातकाल के बाद सत्यापित कर सकती है।

अंतर्निहित डिज़ाइन समस्या परिचित है

ग्राफाना का सुरक्षा मार्गदर्शन चेतावनी देता है कि उसके स्थानीय नेटवर्क पर सेवाएँ उसके डेटा-स्रोत प्रॉक्सी के माध्यम से पहुंच योग्य हो सकती हैं। यह अनुमत गंतव्यों को सीमित करने और संवेदनशील आंतरिक सेवाओं तक पहुंच को प्रतिबंधित करने के लिए फ़ायरवॉल नियमों का उपयोग करने जैसे नियंत्रणों का वर्णन करता है।

वे सावधानियां बताती हैं कि एक उपकरण किस तक पहुंच सकता है, साथ ही इसमें कौन लॉग इन कर सकता है। प्रमाणीकरण और नेटवर्क सीमाएँ अलग-अलग कार्य करती हैं; यदि कोई भी सीमा विफल हो जाती है तो अनुमति सीमाएँ एक और परत प्रदान करती हैं।

NewsBTC की रिपोर्ट चेनैलिसिस स्क्रीनिंग सेवाओं को बहाल कर रहा है दिखाता है कि परिचालन पुनर्प्राप्ति और डेटा-एक्सपोज़र विश्लेषण अलग-अलग समयसीमाओं का पालन क्यों कर सकते हैं।

चेनस्टैक का विस्तारित खाता ग्राहकों को मूल्यांकन के लिए अधिक विवरण देता है। शेष परीक्षण यह है कि क्या पहुंच परिवर्तन पूरे हो गए हैं और क्या संशोधित नियंत्रण किसी समझौता की गई सेवा को उसकी इच्छित भूमिका से कहीं आगे तक पहुंचने से रोक सकते हैं।

न्यूज़ डेस्क द्वारा लिखित और सैमुअल राय द्वारा संपादित।